Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO
zwischen
Musterfirma GmbH
Musterstraße 123, 12345 Musterstadt
- nachfolgend „Verantwortlicher" genannt -
und
Visionary Data GmbH
Mozartstr. 2, 85659 Forstern
- nachfolgend „Auftragsverarbeiter" genannt -
I. Gegenstand der Verarbeitung
Verarbeitungsgegenstand und Zwecke
Der Auftragsverarbeiter betreibt für den Verantwortlichen eine KI-basierte SaaS-Plattform (nachfolgend „Plattform") und entwickelt diese kontinuierlich weiter. Die vertragsgegenständlichen Leistungen umfassen:
KI-basierte SaaS-Plattform
Betrieb und kontinuierliche Weiterentwicklung der KI-basierten SaaS-Plattform für den Verantwortlichen. Die Plattform ermöglicht die Verarbeitung von Daten mittels KI-gestützter Funktionen zur Optimierung von Geschäftsprozessen.
Beratungs- und Supportleistungen
Beratung und technischer Support zur optimalen Nutzung der Plattform. Dies umfasst die Unterstützung bei der Implementierung, Schulungen sowie laufenden technischen Support.
Hinweis zu der Verwendung von Daten bei KI-Systemen
Der Auftragsverarbeiter sichert zu, dass alle im Rahmen dieses Vertragsverhältnisses verarbeiteten personenbezogenen Daten sowie Inhalte des Verantwortlichen ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen genutzt werden. Insbesondere ist ausgeschlossen, dass diese Daten und Inhalte zur (Weiter‑)Entwicklung, Optimierung oder zum Training von KI‑gestützten Systemen oder Produkten außerhalb dieses konkreten Vertragsverhältnisses verwendet werden.
Eine Verwendung personenbezogener Daten oder Kundeninhalte zum Zweck des Machine Learnings, Fine‑Tunings, Cross‑Domain-Learnings oder anderen Formen des KI-Trainings zugunsten des Auftragsverarbeiters oder Dritter ist ausdrücklich ausgeschlossen. Der Auftragsverarbeiter gewährleistet durch technische und organisatorische Maßnahmen, dass personenbezogene Daten und Inhalte des Verantwortlichen zu keinem Zeitpunkt in gemeinsame oder zentralisierte Trainingsdatenpools, Modellarchitekturen oder Datenbanken einfließen.
Zulässige Nutzung technischer Metadaten
Unberührt von den vorstehenden Regelungen bleibt die Nutzung von vollständig anonymisierten und aggregierten technischen Metadaten, die keinen Personenbezug aufweisen und keine Rückschlüsse auf Inhalte oder einzelne betroffene Personen zulassen. Diese dürfen ausschließlich für folgende Zwecke verwendet werden:
- Erstellung anonymisierter, aggregierter Statistiken zur Systemnutzung
- Erkennung und Abwehr von Sicherheitsbedrohungen, Betrug und Missbrauch (Security & Fraud Prevention)
- Analyse und Behebung von Fehlern zur Gewährleistung der Systemstabilität
- Allgemeine Performance-Optimierung und Kapazitätsplanung der Infrastruktur
Der Auftragsverarbeiter stellt sicher, dass bei der Erstellung solcher Metadaten keine personenbezogenen Daten oder inhaltliche Informationen des Verantwortlichen verarbeitet werden und eine Re-Identifizierung ausgeschlossen ist.
Die Verpflichtungen dieses Abschnitts gelten auch nach Beendigung des Vertragsverhältnisses fort.
Änderungen
Änderungen des Verarbeitungsgegenstandes sind gemeinsam zwischen Verantwortlichem und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
II. Verarbeitungsort
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.
Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung (schriftlich oder per E-Mail) des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln und ggf. zusätzliche Garantien, genehmigte Verhaltensregeln).
III. Dauer der Verarbeitung
Allgemein
Die Dauer dieses Vertrags entspricht der Laufzeit des jeweiligen Hauptvertrags.
Sonderregelung
Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet (einschließlich Backups).
Sonderkündigungsrecht
Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert.
Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.
IV. Art der Verarbeitung
Die Art der Verarbeitung kann sowohl eine als auch alle der folgenden Verarbeitungen umfassen:
- das Erheben und das Erfassen
- die Organisation und das Ordnen
- die Speicherung, die Anpassung oder Veränderung
- das Auslesen, Abfragen
- Offenlegung durch Übermittlung, Verarbeitung oder eine andere Form der Bereitstellung
- den Abgleich oder die Verknüpfung
- die Einschränkung, das Löschen oder die Vernichtung
V. Kategorien betroffener Personen
Es werden personenbezogene Daten der folgenden Kategorien der betroffenen Personen verarbeitet:
- Beschäftigte des Verantwortlichen
VI. Art der personenbezogenen Daten
Es werden die folgenden personenbezogenen Daten verarbeitet:
Beschäftigte des Verantwortlichen:
- Stammdaten: z.B. Name, Vorname, Anschrift, Geburtsdatum
- Berufliche und beschäftigungsbezogene Daten: z.B. Position, Abteilung, Arbeitsvertragsdaten
- Kommunikationsdaten: z.B. E-Mail-Adresse, Telefonnummer, Korrespondenz
- User Generated Content: Inhalte (Dokumente, Bilder, Musikdateien, Äußerungen etc.), die Betroffene willentlich und wissentlich selbst erzeugt haben
- User-Account-Informationen: z.B. Benutzername, Passwort, Rechteprofil, Organisationsinformationen
- Verkehrsdaten (excl. Standortdaten): Informationen, die bei der Initiierung, Aufrechterhaltung und Abwicklung eines konkreten Kommunikationsvorgangs notwendigerweise anfallen, z.B. Anschlusskennungen (A- und B-Rufnummer), IP-Adressen, Gerätekennungen (MAC-Adresse, IMEI etc.), Informationen zu Beginn und Ende von Kommunikationsvorgängen (etwa in CDRs oder Log-Dateien)
VII. Pflichten und Rechte des Verantwortlichen
Allgemein
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO, sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Verantwortliche verantwortlich.
Mitteilungspflichten
Der Verantwortliche hat die Pflicht, den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn im Hinblick auf die Verarbeitung oder bezüglich datenschutzrechtlicher Bestimmungen, Fehler, Störungen oder sonstige Unregelmäßigkeiten festgestellt werden.
VIII. Weisungsrecht des Verantwortlichen
Allgemein
Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Der Verantwortliche entscheidet allein und ausschließlich über die Zwecke und Mittel der Verarbeitung der Auftragsdaten. Der Auftragsverarbeiter darf die Auftragsdaten nur nach dokumentierter Weisung des Verantwortlichen verarbeiten, es sei denn, der Auftragsverarbeiter ist gesetzlich zur Verarbeitung dieser Daten verpflichtet.
Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre nach Ablauf des Kalenderjahres aufzubewahren.
Weisungsberechtigte und Weisungsempfänger
Die Weisungsberechtigten des Verantwortlichen und die Weisungsempfänger des Auftragsverarbeiters sind in der Anlage „Weisungsberechtigte und Weisungsempfänger" zu diesem Vertrag aufgeführt.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Bestimmtheit und Form der Weisung
Weisungen sind bestimmt zu erteilen (Gebot der Weisungsklarheit). Weisungen können schriftlich, in Textform oder in Eilfällen auch mündlich erteilt werden.
Mündliche Weisungen muss der Verantwortliche unverzüglich schriftlich oder in Textform bestätigen.
Benachrichtigung bei Rechtswidrigkeit
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung sei rechtswidrig. Diese Hinweispflicht beinhaltet keine umfassende rechtliche Prüfung. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
Auftragsfremde Weisungen
Über die Ausführung von Weisungen des Verantwortlichen, die über den in dieser Vereinbarung geregelten Vertragsgegenstand hinausgehen, entscheidet der Auftragsverarbeiter. Der Auftragsverarbeiter kann in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
Regress
Sollte der Auftragsverarbeiter infolge der Umsetzung einer rechtswidrigen Weisung einem begründeten Haftungsanspruch ausgesetzt sein, kann er sich insoweit beim Verantwortlichen schadlos halten.
Verfahrensänderungen
Verfahrensänderungen sind gemeinsam zwischen Verantwortlichen und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
IX. Gewährleistung der Verpflichtung zur Vertraulichkeit
Daten- und Fernmeldegeheimnis
Jede bei dem Auftragsverarbeiter unterstellte Person, die Zugang zu Auftragsdaten hat, ist zur Vertraulichkeit verpflichtet, insbesondere gemäß den Bestimmungen der Art. 5 Abs. 1 f), Art. 28 Abs. 3 b), Art. 29 und Art. 32 Abs. 4 DSGVO sowie des § 3 TDDDG.
Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieser Vereinbarung fort.
Unterweisung
Der Auftragsverarbeiter stellt durch geeignete Maßnahmen, wie insbesondere regelmäßige Schulungen zum Datenschutz, sicher, dass die ihm unterstellten und zur Verarbeitung von Auftragsdaten befugten Personen mit den einschlägigen Bestimmungen zum Datengeheimnis und Fernmeldegeheimnis vertraut sind.
X. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragsverarbeiter zu dokumentieren sind, ist der Verantwortliche unverzüglich in Kenntnis zu setzen.
Die Übersicht über die wesentlichen technischen und organisatorischen Maßnahmen ist separat geführt.
XI. Bedingungen für die Inanspruchnahme von weiteren Auftragsverarbeitern
Begriff des Unterauftragsverarbeiters
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragsverarbeiter in Anspruch nimmt, sofern und soweit ein Zugriff auf vertragsgegenständliche personenbezogene Daten ausgeschlossen ist. Ebenso wenig stellen grundsätzliche Telekommunikationsleistungen, Post- und Transportdienstleistungen eine Auftrags- bzw. Unterauftragsverarbeitung dar. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Sicherheit der Daten des Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
Voraussetzungen der Zulässigkeit der Beauftragung
Der Verantwortliche erteilt hiermit dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter mit einer Ankündigungsfrist von einem (1) Monat zu informieren. Der Verantwortliche hat seinen Einspruch gegen die Änderung innerhalb eines (1) Monats nach Zugang der Information über die Änderung gegenüber dem Auftragsverarbeiter zu erheben. Im Fall des Einspruchs kann der Auftragsverarbeiter nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder - sofern die Erbringung der Leistung ohne die beabsichtigte Änderung des Auftragsverarbeiters nicht zumutbar ist - die von der Änderung betroffene Leistung gegenüber dem Verantwortlichen innerhalb von einem (1) Monat nach Zugang des Einspruchs kündigen.
Datenschutzniveau des Unterauftragsverarbeiters
Jeder Unterauftragsverarbeiter ist verpflichtet, sich vor Beginn der Verarbeitungstätigkeiten dazu zu verpflichten, dieselben Datenschutzverpflichtungen einzuhalten, wie in dieser Vereinbarung vereinbart, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Der Unterauftragsverarbeitungsvertrag muss zumindest das nach diesem Vertrag erforderliche Datenschutzniveau gewährleisten. Jeder Unterauftragsverarbeiter muss sich insbesondere dazu verpflichten, die vereinbarten technischen und organisatorischen Sicherheitsmaßnahmen gemäß Art. 32 DS-GVO einzuhalten und dem Auftragsverarbeiter eine Liste der umgesetzten technischen und organisatorischen Maßnahmen zur Verfügung zu stellen, die dem Verantwortlichen auf Verlangen zur Verfügung gestellt wird. Die Maßnahmen des Unterauftragsverarbeiters können von dem zwischen Verantwortlichen und Auftragsverarbeiter Vereinbarten abweichen, dürfen jedoch nicht unter das Datenschutzniveau fallen, welches durch die Maßnahmen vom Auftragsverarbeiter gewährleistet wird. Weigert sich ein Unterauftragsverarbeiter, sich denselben datenschutzrechtlichen Pflichten zu unterwerfen, wie sie in dieser Vereinbarung niedergelegt sind, so bedarf der Einsatz dieses Unterauftragsverarbeiters der Zustimmung des Verantwortlichen, wobei diese Zustimmung nicht unbilligerweise verweigert werden darf. Kommt der Unterauftragsverarbeiter seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters gemäß Art. 28 Abs. 4 DSGVO. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen, die Beschäftigung des Unterauftragsverarbeiters ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragsverarbeiter zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.
Datenschutzniveau des Unterauftragsverarbeiters im Drittstaat
Für den Fall, dass ein Unterauftragsverarbeiter in einem Drittstaat ansässig ist, welcher gemäß Art. 45 DSGVO kein angemessenes Datenschutzniveau bietet, wird der Auftragsverarbeiter diesem Umstand ausreichend Rechnung tragen. Der Auftragsverarbeiter wird mit diesem Unterauftragsverarbeiter entsprechende Standarddatenschutzklauseln für den Drittlandstransfer abschließen (DURCHFÜHRUNGS-BESCHLUSS (EU) 2021/914 DER KOMMISSION vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates). In diesem Zusammenhang ist den Auswirkungen des Urteils Schrems-II des EuGH Rechnung zu tragen und gegebenenfalls zusätzliche Garantien zur Sicherung der Daten durch den Auftragsverarbeiter vorzunehmen oder mit dem Unterauftragsverarbeiter zu vereinbaren.
Die aktuelle Auflistung eingesetzter Unterauftragsverarbeiter wird in einer separaten Tabelle geführt.
XII. Unterstützung bei Betroffenenanfragen
Allgemeines
Der Auftragsverarbeiter unterstützt den Verantwortlichen in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technischer und organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte.
Dokumentation
Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken.
Informationspflicht
Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
Bearbeitung der Betroffenenrechte durch den Auftragsverarbeiter
Die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität können nach dokumentierter Weisung des Verantwortlichen unmittelbar durch den Auftragsverarbeiter sichergestellt werden. Sofern die damit verbundenen Maßnahmen die zumutbare Unterstützung des Auftragsverarbeiters übersteigen, kann der Auftragsverarbeiter in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
XIII. Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO
Einhaltung der Pflichten aus Art. 32 DSGVO (TOM)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und insbesondere den Schutz vor zufälliger oder unrechtmäßiger Zerstörung, Verlust, Veränderung oder unbefugter Offenlegung von oder unbefugtem Zugang zu den übertragenen, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten gewährleisten.
Einhaltung der Pflichten aus Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 24 Stunden, nachdem ihm die Verletzung bekannt wurde. Die Risikoabwägung gemäß Art. 33 Abs. 1 DSGVO, ob eine Meldung an die Aufsichtsbehörde erforderlich ist, obliegt ausschließlich dem Verantwortlichen.
Einhaltung der Pflichten aus Art. 34 DSGVO (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Benachrichtigung der betroffenen Person über eine Verletzung des Schutzes personenbezogener Daten, wenn diese Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.
Einhaltung der Pflichten aus Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, sofern eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte.
Einhaltung der Pflichten aus Art. 36 DSGVO (Vorherige Konsultation)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der vorherigen Konsultation der Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
XIV. Löschung und Rückgabe der Daten
Löschung nach Vertragsende
Der Auftragsverarbeiter löscht nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten und vorhandenen Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung der personenbezogenen Daten erforderlich.
Rückgabe auf Weisung
Auf dokumentierte Weisung des Verantwortlichen gibt der Auftragsverarbeiter alle personenbezogenen Daten zurück oder löscht sie und vernichtet vorhandene Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung erforderlich.
Nachweis der Löschung
Der Auftragsverarbeiter stellt dem Verantwortlichen einen Nachweis über die ordnungsgemäße Löschung oder Rückgabe zur Verfügung.
XV. Kontrollrechte des Verantwortlichen
Konkrete Durchführung
Der Verantwortliche kann sich grundsätzlich jederzeit im Wege einer Überprüfung bzw. Inspektion der Einhaltung der gesetzlichen und in diesem Vertrag übernommenen Verpflichtungen des Auftragsverarbeiters überzeugen.
Diese Überprüfungen bzw. Inspektionen finden im Geschäftsbetrieb des Auftragsverarbeiters zu den üblichen Geschäftszeiten statt.
Der Verantwortliche muss, um den regulären Geschäftsbetrieb des Auftragsverarbeiters nicht zu beeinträchtigen, dem Auftragsverarbeiter die Überprüfungen bzw. Inspektionen in schriftlicher oder elektronischer Form mit einer angemessenen Vorlaufzeit ankündigen. Die angemessene Vorlaufzeit beträgt i.d.R. einen (1) Monat.
Häufigkeit der Überprüfungen
Überprüfungen bzw. Inspektionen vor Ort dürfen grundsätzlich maximal einmal pro Kalenderjahr durchgeführt werden. Bei Vorliegen eines besonderen Anlasses, wie beispielsweise einem Sicherheitsvorfall oder einer Datenschutzverletzung, sind zusätzliche Überprüfungen zulässig.
Nachweis durch Zertifikate und Berichte
Der Verantwortliche erkennt an, dass aktuelle Zertifizierungen (z.B. ISO 27001) sowie unabhängige Prüfberichte (z.B. Penetrationstest-Reports, SOC-2-Berichte) geeignete Nachweise für die Einhaltung der technischen und organisatorischen Maßnahmen darstellen. Diese Nachweise sind einer persönlichen Vor-Ort-Kontrolle vorzuziehen, sofern sie die relevanten Prüfungsgegenstände abdecken.
Remote- und Desk-Audits
Sofern keine ausreichenden Zertifizierungen oder Prüfberichte vorliegen, kann der Verantwortliche die Überprüfung zunächst in Form eines Remote- oder Desk-Audits durchführen. Dabei erfolgt die Prüfung auf Basis von Dokumenteneinsicht, Interviews per Videokonferenz sowie der Bereitstellung von Screenshots oder Bildschirmfreigaben durch den Auftragsverarbeiter. Remote- und Desk-Audits sind einer Vor-Ort-Inspektion vorzuziehen, sofern die Prüfungsziele auf diese Weise erreicht werden können.
Durchführende Personen
Der Verantwortliche kann die Überprüfungen selbst durchführen oder durch von ihm zu benennende, auf Vertraulichkeit zu verpflichtende, Dritte auf seine Kosten durchführen lassen.
Der Verantwortliche muss die Legitimation der mit der Überprüfung betrauten Personen oder Dritte gewährleisten.
Dritte in diesem Sinne dürfen keine Vertreter von Wettbewerbern des Auftragsverarbeiters oder der mit dem Auftragsverarbeiter verbundenen Unternehmen sein. Der Auftragsverarbeiter kann der Überprüfung durch einen externen Prüfer widersprechen, wenn der vom Verantwortlichen ausgewählte Prüfer in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.
Kostenregelung
Grundsätzlich trägt jede Partei die ihr im Zusammenhang mit Überprüfungen und Inspektionen entstehenden Kosten selbst. Soweit dem Auftragsverarbeiter durch Überprüfungen des Verantwortlichen jedoch ein unverhältnismäßiger oder über das übliche Maß hinausgehender Aufwand entsteht (z.B. durch besonders umfangreiche oder zeitintensive Prüfungen), ist der Verantwortliche verpflichtet, dem Auftragsverarbeiter diese zusätzlichen Kosten auf Nachweis zu erstatten. Der Auftragsverarbeiter wird den Verantwortlichen vorab auf einen zu erwartenden erhöhten Aufwand hinweisen.
Gemeinsame Audits (Pooling)
Der Auftragsverarbeiter kann dem Verantwortlichen die Teilnahme an gemeinsamen Audits mit anderen Verantwortlichen anbieten, sofern dies organisatorisch möglich ist und die Vertraulichkeitsinteressen aller Beteiligten gewahrt bleiben. Die Teilnahme an einem solchen gemeinsamen Audit gilt als Erfüllung des jährlichen Kontrollrechts des Verantwortlichen.
Dokumentation
Die Überprüfungen / Inspektionen, sowie deren Ergebnisse sind zu dokumentieren.
Die Dokumentation der Überprüfungen / Inspektionen ist für die Geltungsdauer dieses Vertrages und anschließend noch für drei volle Kalenderjahre nach Ablauf des Kalenderjahres aufzubewahren.
Vertraulichkeit der Prüfungsergebnisse
Der Verantwortliche ist verpflichtet, sämtliche im Rahmen von Überprüfungen und Inspektionen erlangten Informationen über die technischen und organisatorischen Maßnahmen, Sicherheitskonzepte sowie sonstige Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters streng vertraulich zu behandeln. Eine Weitergabe an Dritte – mit Ausnahme der zuständigen Aufsichtsbehörden im Rahmen ihrer gesetzlichen Befugnisse – ist nur mit vorheriger schriftlicher Zustimmung des Auftragsverarbeiters zulässig. Diese Vertraulichkeitspflicht gilt auch nach Beendigung des Vertragsverhältnisses fort.
Anpassungen
Soweit die Überprüfung / Inspektion des Auftragsverarbeiters durch den Verantwortlichen einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
XVI. Mitteilungspflichten
Störungen und Datenschutzverletzungen
Der Auftragsverarbeiter teilt Störungen unverzüglich mit, die erhebliche Auswirkungen auf die Verarbeitung der personenbezogenen Daten des Verantwortlichen haben können. Dies gilt insbesondere für Verletzungen des Schutzes personenbezogener Daten.
Behördliche Maßnahmen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen der Aufsichtsbehörde oder anderer Dritter, soweit sie sich auf den Auftrag beziehen.
Verdacht auf Datenschutzverstöße
Bei Verdacht auf Verstöße gegen datenschutzrechtliche Bestimmungen im Zusammenhang mit den Auftragsdaten informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.
XVII. Haftung und Schadensersatz
Haftung nach DSGVO
Jede Partei, die durch eine Verarbeitung einen Schaden erlitten hat, hat Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter für den erlittenen Schaden gemäß Art. 82 DSGVO.
Gesamtschuldnerische Haftung
Sind sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 4 des Art. 82 DSGVO für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder von ihnen für den gesamten Schaden, um einen wirksamen Schadensersatz für die betroffene Person sicherzustellen.
Regress
Hat ein Verantwortlicher oder ein Auftragsverarbeiter gemäß Absatz 5 des Art. 82 DSGVO vollständigen Schadensersatz für den erlittenen Schaden gezahlt, so ist diese Partei berechtigt, von den übrigen an derselben Verarbeitung beteiligten Verantwortlichen oder Auftragsverarbeitern den Teil des Schadensersatzes zurückzufordern, der entsprechend den in Absatz 2 des Art. 82 DSGVO festgelegten Bedingungen ihrer Verantwortung für den Schaden entspricht.
XVIII. Schlussbestimmungen
Änderungen
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform oder einer dokumentierten elektronischen Form.
Salvatorische Klausel
Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die unwirksame oder undurchführbare Bestimmung ist durch eine wirksame und durchführbare Bestimmung zu ersetzen, die dem Zweck der unwirksamen oder undurchführbaren Bestimmung möglichst nahe kommt.
Anwendbares Recht und Gerichtsstand
Auf diese Vereinbarung findet deutsches Recht Anwendung. Gerichtsstand ist der Sitz des Auftragsverarbeiters.
Verantwortlicher:
Datum: _________________
_________________________
Max Mustermann
Auftragsverarbeiter:
Datum: 02.07.2026
Sebastian Gesellensetter
Visionary Data GmbH
Berufsrechtliche Grundlagen — Rechtsanwälte
§ 43e Bundesrechtsanwaltsordnung (BRAO) und § 203 Strafgesetzbuch (StGB) · Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Bundesrechtsanwaltsordnung (BRAO)
§ 43e Inanspruchnahme von Dienstleistungen
(1) Der Rechtsanwalt darf Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 43a Absatz 2 Satz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Rechtsanwalt im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Der Rechtsanwalt ist verpflichtet, den Dienstleister sorgfältig auszuwählen. Er hat die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Berufsrechtliche Grundlagen — Steuerberater
§ 62a Steuerberatungsgesetz (StBerG) und § 203 Strafgesetzbuch (StGB) · Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Steuerberatungsgesetz (StBerG)
§ 62a Inanspruchnahme von Dienstleistungen
(1) Steuerberater und Steuerbevollmächtigte dürfen Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 57 Absatz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Steuerberater oder vom Steuerbevollmächtigten im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Steuerberater und Steuerbevollmächtigte sind verpflichtet, den Dienstleister sorgfältig auszuwählen. Die Zusammenarbeit muss unverzüglich beendet werden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Verfahrensrechtliche Anlagen
§§ 53a und 97 Strafprozessordnung (StPO) · Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Strafprozessordnung (StPO)
§ 53a Zeugnisverweigerungsrecht der mitwirkenden Personen
(1) Den Berufsgeheimnisträgern nach § 53 Absatz 1 Satz 1 Nummer 1 bis 4 stehen die Personen gleich, die im Rahmen
- eines Vertragsverhältnisses einschließlich der gemeinschaftlichen Berufsausübung,
- einer berufsvorbereitenden Tätigkeit oder
- einer sonstigen Hilfstätigkeit
an deren beruflicher Tätigkeit mitwirken. Über die Ausübung des Rechts dieser Personen, das Zeugnis zu verweigern, entscheiden die Berufsgeheimnisträger, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann.
(2) Die Entbindung von der Verpflichtung zur Verschwiegenheit (§ 53 Absatz 2 Satz 1) gilt auch für die nach Absatz 1 mitwirkenden Personen.
Strafprozessordnung (StPO)
§ 97 Beschlagnahmeverbot
(1) Der Beschlagnahme unterliegen nicht
- schriftliche Mitteilungen zwischen dem Beschuldigten und den Personen, die nach § 52 oder § 53 Abs. 1 Satz 1 Nr. 1 bis 3b das Zeugnis verweigern dürfen;
- Aufzeichnungen, welche die in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten über die ihnen vom Beschuldigten anvertrauten Mitteilungen oder über andere Umstände gemacht haben, auf die sich das Zeugnisverweigerungsrecht erstreckt;
- andere Gegenstände einschließlich der ärztlichen Untersuchungsbefunde, auf die sich das Zeugnisverweigerungsrecht der in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten erstreckt.
(2) Diese Beschränkungen gelten nur, wenn die Gegenstände im Gewahrsam der zur Verweigerung des Zeugnisses Berechtigten sind, es sei denn, es handelt sich um eine elektronische Gesundheitskarte im Sinne des § 291a des Fünften Buches Sozialgesetzbuch. Die Beschränkungen der Beschlagnahme gelten nicht, wenn bestimmte Tatsachen den Verdacht begründen, dass die zeugnisverweigerungsberechtigte Person an der Tat oder an einer Datenhehlerei, Begünstigung, Strafvereitelung oder Hehlerei beteiligt ist, oder wenn es sich um Gegenstände handelt, die durch eine Straftat hervorgebracht oder zur Begehung einer Straftat gebraucht oder bestimmt sind oder die aus einer Straftat herrühren.
(3) Die Absätze 1 und 2 sind entsprechend anzuwenden, soweit die Personen, die nach § 53a Absatz 1 Satz 1 an der beruflichen Tätigkeit der in § 53 Absatz 1 Satz 1 Nummer 1 bis 3b genannten Personen mitwirken, das Zeugnis verweigern dürfen.
Zusatzvereinbarungen der Unterauftragsverarbeiter
Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Für den Einsatz durch Berufsgeheimnisträger bestehen mit den folgenden Unterauftragsverarbeitern gesonderte Zusatzvereinbarungen zum Schutz von Berufsgeheimnissen. Diese Dokumente sind Bestandteil dieses Auftragsverarbeitungsvertrags und nachfolgend vollständig abgedruckt.
Zusatzvereinbarung mit Microsoft
🇩🇪Microsoft Deutschland GmbH
Ergänzende Bestimmungen zum Microsoft Customer Agreement für Berufsgeheimnisträger — regelt Verschwiegenheitspflichten und den Umgang mit vertraulichen Mandantendaten.
Dokument wird geladen …
Zusatzvereinbarung für Berufsgeheimnisträger
🇪🇺Google Cloud EMEA Limited
Custom Contract zwischen Visionary Data und Google Cloud — Nachweis der Compliance bei Mandaten von Berufsgeheimnisträgern (z. B. Steuerberater).
Dokument wird geladen …
Weisungsberechtigte und Weisungsempfänger
Anlage zum Auftragsverarbeitungsvertrag gemäß Abschnitt VIII (Weisungsrecht des Verantwortlichen)
Weisungsberechtigt für den Verantwortlichen (Musterfirma GmbH) sind:
| Name | Funktion | |
|---|---|---|
| Max Mustermann | Geschäftsführung | kontakt@musterfirma.de |
Weisungsempfänger beim Auftragsverarbeiter (Visionary Data GmbH) sind:
| Name | Funktion | |
|---|---|---|
| Sebastian Gesellensetter | Geschäftsführung | sebastian.gesellensetter@visionarydata.de |
| Sebastian Sager | Stellvertretung | sebastian.sager@visionarydata.de |
Weisungen sind grundsätzlich an die benannten Weisungsempfänger zu richten. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Technische und organisatorische Maßnahmen (TOM)
Visionary Data GmbH · Anlage zum Auftragsverarbeitungsvertrag
Zutrittskontrolle
Physische Sicherung der Standorte
Implementierte Maßnahmen:
- • Alle Gebäude und Büroräume sind durch elektronische Zutrittskontrollsysteme gesichert
- • Zugänge werden individuell vergeben und dokumentiert
- • Nicht genutzte Zugänge werden unverzüglich deaktiviert
- • Zutrittsbereiche sind klar definiert und dokumentiert
- • Zutritt zu Serverräumen und Rechenzentren ist zusätzlich videoüberwacht
- • Nur berechtigte IT-Mitarbeiter haben Zutritt zu Serverräumen
- • Besucher erhalten nur in Begleitung von Mitarbeitern Zutritt
Zugangskontrolle
Systemzugang
Implementierte Maßnahmen:
- • Systemzugänge erfolgen ausschließlich mittels Multi-Faktor-Authentifizierung (MFA)
- • Rollenbasiertes Rechtekonzept ist implementiert
- • Kennwortrichtlinien regeln Länge, Komplexität und Wechselintervalle verbindlich
- • Arbeitsplätze und mobile Endgeräte sind automatisch nach kurzer Inaktivität gesperrt
- • Jegliche Zugänge und Aktivitäten werden protokolliert und regelmäßig überprüft
Zugriffskontrolle
Berechtigungskonzept
Implementierte Maßnahmen:
- • Zugriff auf Daten erfolgt ausschließlich nach einem dokumentierten Rollen- und Berechtigungskonzept
- • Administratorzugänge sind personalisiert und auf ein Minimum reduziert
- • Externe Zugriffe sind nur über verschlüsselte VPN-Verbindungen möglich
- • Jede Zugriffsänderung wird protokolliert und regelmäßig überprüft
Trennungskontrolle
Logische Trennung unterschiedlicher Daten
Implementierte Maßnahmen:
- • Mandantenfähige Systeme gewährleisten strikte logische Trennung der Daten unterschiedlicher Kunden
- • Separate virtuelle Umgebungen für verschiedene Mandanten
- • Separate Datenbanken für verschiedene Kunden verfügbar
- • Separate Kubernetes-Namespaces für unterschiedliche Zwecke
- • Daten verschiedener Zwecke werden getrennt verarbeitet und gespeichert
Pseudonymisierung
Technische Pseudonymisierungsverfahren
Implementierte Maßnahmen:
- • Pseudonymisierungstechniken werden in Test- und Entwicklungssystemen konsequent angewendet
- • Vollständige Pseudonymisierung ist systemisch verankert
- • Pseudonymisierung erfolgt automatisch
Anonymisierung
Dauerhafte Anonymisierung von Daten
Implementierte Maßnahmen:
- • Langfristig gespeicherte Daten werden mittels automatisierter Anonymisierungsverfahren verarbeitet
- • Anonymisierungsprozess wird kontinuierlich überprüft und optimiert
Weitergabekontrolle
Sichere Datenübertragung
Implementierte Maßnahmen:
- • Alle Datenübertragungen erfolgen mittels aktueller Verschlüsselungsverfahren (TLS 1.3)
- • Sämtliche Kommunikationswege sind mindestens transportverschlüsselt
- • E-Mail und Dateiübertragungen sind verschlüsselt
- • Nutzung privater Endgeräte für dienstliche Zwecke (BYOD) ist untersagt
- • Ausdrucke personenbezogener Daten erfolgen ausschließlich auf besonders gesicherten Druckern
Eingabekontrolle
Nachvollziehbarkeit von Datenänderungen
Implementierte Maßnahmen:
- • Eingaben, Änderungen und Zugriffe werden in unveränderlichen Audit-Logs protokolliert
- • Administrative Tätigkeiten sind eindeutig personenbeziehbar
- • Vier-Augen-Prinzip bei sensiblen Aktionen
Verfügbarkeitskontrolle
Schutz vor Datenverlust und Gewährleistung der Verfügbarkeit
Implementierte Maßnahmen:
- • IT-Infrastruktur ist hochverfügbar aufgebaut
- • Verschiedene europäische Rechenzentrumsstandorte für die Verteilung der Services
- • Redundante Stromversorgung (USV) in allen Rechenzentren
- • Zuverlässige Speicherlösungen mit automatisierten Backup-Mechanismen
- • Backup-Daten werden verschlüsselt und sicher gelagert
- • Umfassende Antiviren- und Firewall-Lösungen
Rasche Wiederherstellbarkeit
Schnelle Wiederherstellung nach Zwischenfällen
Implementierte Maßnahmen:
- • Containerbasierte Infrastruktur nutzt integrierte Wiederherstellungsfunktionen des Cloud-Providers
- • Eigene Backup-Prozesse für persistente Daten
- • Wiederherstellungszeiten (RTO) sind auf maximal 6 Stunden begrenzt
- • Datenverluste (RPO) sind auf maximal 24 Stunden begrenzt
- • Verantwortlichkeiten und Wiederherstellungsprozesse sind dokumentiert
Auftragskontrolle
Verarbeitung nur auf Weisung des Verantwortlichen
Implementierte Maßnahmen:
- • Verarbeitung erfolgt ausschließlich auf Weisung des Verantwortlichen
- • Vertragsvereinbarungen regeln Zugriffsberechtigung
- • Unterweisungen stellen sicher, dass nur zugangsberechtigte Personen auf Daten zugreifen
- • Unterauftragnehmer sind an dieselben Datenschutzstandards gebunden
Unterauftragsverarbeiter
Visionary Data GmbH · Anlage zum Auftragsverarbeitungsvertrag
Übersicht über alle Unterauftragsverarbeiter, die von Visionary Data GmbH im Rahmen von ASCADI zur Erbringung unserer Dienstleistungen eingesetzt werden. Alle Unterauftragsverarbeiter wurden sorgfältig ausgewählt und erfüllen die Anforderungen der DSGVO.
Microsoft Deutschland GmbH
🇩🇪Deutschland · Infrastruktur
Anschrift
Walter-Gropius-Strasse 5, 80807 München
Dienstleistung
Cloud Server Infrastruktur, Netzwerke und Technische Services, LLM-Dienste
Verarbeitungszweck
Bereitstellung der Cloud Server Infrastruktur, Netzwerke und Technische Services sowie LLM-Diensten
Garantien
Microsoft Customer Agreement, Data Processing Addendum
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3
Cloudflare Germany GmbH
🇪🇺Europäische Union (EU-Rechenzentren) · Sicherheit
Anschrift
Rosental 7, 80331 München
Dienstleistung
Schutz vor bösartigem Datenverkehr
Verarbeitungszweck
Schutz vor bösartigem Datenverkehr und Sicherheitsdienste
Garantien
Data Processing Agreement, EU-Standardvertragsklauseln
Zertifizierungen
ISO 27001, SOC 2 Type II, C5
Microsoft Ireland Operations Ltd.
🇪🇺Europäische Union (EU-Rechenzentren) · KI-Services
Anschrift
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Dienstleistung
LLM-Dienste (Optional)
Verarbeitungszweck
Bereitstellung von LLM-Diensten als optionaler Zusatzdienst
Garantien
Microsoft Customer Agreement, Data Processing Addendum
Zertifizierungen
ISO 27001, SOC 2 Type II
Google Cloud EMEA Limited
🇪🇺Europäische Union (EU-Rechenzentren) · KI-Services
Anschrift
70 Sir John Rogerson's Quay, Dublin 2, Irland
Dienstleistung
LLM-Dienste (Optional)
Verarbeitungszweck
Bereitstellung von LLM-Diensten als optionaler Zusatzdienst
Garantien
Google Cloud Data Processing Agreement, EU-Standardvertragsklauseln
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, SOC 2
IONOS SE
🇩🇪Deutschland · Back-Up
Anschrift
Elgendorfer Str. 57, 56410 Montabaur
Dienstleistung
Back-Up Services (Optional)
Verarbeitungszweck
Bereitstellung von Back-Up Services als optionaler Zusatzdienst
Garantien
Data Processing Agreement, DSGVO-konform
Zertifizierungen
ISO 27001, ISO 27018